Interne beheersmaatregelen voor MRV in de VAE: volledigheid van bronnen, aansluitingen, factoren, schattingen, goedkeuringen, audittrails, cyberbeveiliging en interne audit

De wet stelt het kader voor resultaat en verantwoordelijkheid vast: aangewezen bronnen meten regelmatig emissies, stellen een inventaris op, rapporteren via de vereiste formulieren, verminderen emissies, bewaren gegevens en ondersteunen verificatie door de autoriteit. Zij biedt geen regel-voor-regelhandleiding voor interne beheersing. Het management moet de verplichting daarom vertalen naar toetsbare beheersdoelstellingen.

• Entiteiten- en locatiesregister met grootboek, lijst van nutsrekeningen en apparatuurregister.

• Totalen van brandstofleveranciers met crediteurenadministratie en voorraadbewegingen.

• Elektriciteitsfacturen met meterstanden, openings- en sluitingsdata van locaties en verklaringen van verhuurders.

• Aankopen en onderhoudslogboeken van koelmiddelen met apparatuurvulling en terugwinning.

• Subtotalen van activiteitsgegevens met invoerbereiken in het rekenwerkboek.

• Factor-ID’s en versies in het werkboek met het goedgekeurde factorregister.

• Definitieve emissies per bron en gas met het indieningsformulier en de verklaring van de verificateur.

• Totalen van eerdere perioden met het register van herzieningen of methodologiewijzigingen.

Factoren zijn stamgegevens, geen tekst die in een formulecel wordt gekopieerd. Elke factor heeft een stabiel ID, uitgever, editie, geografie, technologie, teller- en noemereenheid, basis voor calorische waarde, GWP-bron en geldigheidsperiode nodig. Wijzigingen zouden een effectbeoordeling en een goedgekeurd besluit over herberekening van vergelijkende cijfers moeten activeren.

Schattingen zouden een reden, dekkingsperiode, proxybron, formule, onzekerheid of gevoeligheid, beoordelaar en hersteldatum moeten vermelden. Formulecellen zouden beschermd, met bekende gevallen getest en voor materiële bronnen onafhankelijk herberekend moeten worden.

• De gegevenseigenaar bevestigt de volledigheid van bronnen en licht afwijkingen toe.

• De methode-eigenaar keurt de factorhiërarchie, formules en afwijkingen goed.

• De financiële of operationele beoordelaar voert aansluitingen uit.

• De duurzaamheidsbeoordelaar consolideert en beoordeelt classificaties en schattingen kritisch.

• De juridische beoordelaar controleert claims, formuleringen voor de autoriteit en beschermde informatie.

• Het management keurt de definitieve verklaring en het indieningspakket goed.

• De systeembeheerder beheert toegang, maar keurt het emissieresultaat niet goed.

Toon de gegevensketen en overkoepelende cyberbeveiligingsmaatregelen.

Cybermaatregelen staan niet als een gedetailleerde checklist in Federaal wetsdecreet nr. 11. Het zijn uitvoeringswaarborgen voor de integriteit en beschikbaarheid van bewijs dat ondernemingen volgens de wet moeten bewaren en verstrekken. De opzet van de beheersing zou het risicoprofiel van de onderneming en toepasselijke cyber- en privacyvereisten in de VAE moeten weerspiegelen.

Interne audit kan beoordelen of het beheersingskader passend is opgezet en gedurende de verslagperiode heeft gewerkt. Zij kan steekproeven testen, aansluitingen observeren, toegangslogboeken onderzoeken en herstelmaatregelen volgen. Zij zou niet de gegevens moeten voorbereiden die zij later controleert, de juridische verklaring van het management moeten afleggen of haar werkzaamheden als verificatie door de autoriteit moeten presenteren.

“Elke materiële gegevensstroom wordt aangesloten op een onafhankelijke operationele of financiële populatie. Emissiefactoren worden geselecteerd uit een goedgekeurd register met versiebeheer. Schattingen en formulewijzigingen vereisen een gedocumenteerde beoordeling. Het definitieve pakket wordt vergrendeld na technische, juridische en managementgoedkeuring, en de ingediende versie en bevestiging worden bewaard bij het bewijsdossier over vijf jaar.”

• Er bestaan beschrijvingen van beheersmaatregelen, maar er is geen eigenaar of bewijs toegewezen.

• Financiën en duurzaamheid gebruiken verschillende locatielijsten.

• Factor-URL’s worden opgeslagen zonder de betreffende edities te downloaden.

• Formules worden visueel beoordeeld in plaats van herberekend.

• Schattingen worden overschreven wanneer werkelijke gegevens beschikbaar komen, waardoor de oorspronkelijke audittrail verloren gaat.

• Beheerderstoegang wordt gedeeld.

• De verificateur ontvangt een andere versie dan het management.

• Interne audit test alleen het definitieve totaal, niet de gegevensketen van bron tot indiening.

• Er wordt aangenomen dat de back-up is geslaagd zonder een hersteltest.

• Een late correctie wordt uitgevoerd zonder het effect op het ingediende rapport of de melding aan de autoriteit te beoordelen.

Voer aansluitingen uit voor bronpopulaties en gegevensstromen: entiteiten, locaties, rekeningen en apparatuur op stamgegevens; brandstof op facturen, grootboek en voorraad; elektriciteit en koeling op meters en rekeningen; koelmiddelen op apparatuur en gasbewegingen; en factoren op het goedgekeurde register. Sluit definitieve totalen aan op het goedgekeurde werkboek, het indieningsformulier en de bevestiging, en eerdere perioden op het register van herzieningen of methodologiewijzigingen.

De audittrail zou voor elke materiële gegevensstroom de opsteller, beoordelaar, wijziging, het bewijs en de definitieve goedgekeurde versie moeten identificeren. Bewaar stabiele bron- en factor-ID’s, invoergegevens en formules van berekeningen, schattingen, goedkeuringen, de vergrendelde indiening, bevestiging, correctiegeschiedenis en toegangslogboeken.

Gebruik rolgebaseerde toegang en minimale rechten, multifactorauthenticatie, onveranderlijke wijzigings- en goedkeuringslogboeken, versleuteling en beveiligde overdracht, geteste back-ups en herstel, incidentrespons en juridische bewaarplicht. Dit zijn uitvoeringswaarborgen voor de integriteit en beschikbaarheid van bewaard bewijs, geen gedetailleerde beheersmaatregelen die het wetsdecreet voorschrijft.